VPN இடைமுகம் வரும்போது nftables கொள்கையை நிலையாக வைத்திருங்கள்

சுரங்கப்பாதைகள் தற்காலிகமானவை; கொள்கை அப்படி இருக்கக்கூடாது. Linux நுழைவாயிலில் சுரங்கப்பாதை இடைமுகத்தைப் பெயரால் பொருத்தும் nftables விதியை ஒருமுறை ஏற்றலாம், அந்த இடைமுகம் தோன்றும் ஒவ்வொரு முறையும் அது தொடர்ந்து பொருந்தும். இடைமுகத்திற்கு இன்னும் ஒரு வாழ்க்கைச் சுழற்சி உள்ளது: அது உருவாகிறது, மறைகிறது, அதைச் சுற்றியுள்ள வழிகளும் மொழிபெயர்ப்புகளும் தங்கள் சொந்த அட்டவணையைப் பின்பற்றுகின்றன. இந்த உரிமையாளர்களைப் பிரிப்பதே மறுஇணைப்பின் போது அணுகலை நிலையாக வைத்திருக்கிறது.

பெயர் பொருத்தம் இடைமுகத்தை விட நீண்ட காலம் வாழ்கிறது

nftables எண்ணியல் இடைமுக-குறியீட்டுப் பொருத்தங்களையும் மாறும் பெயர்-பொருத்தங்களையும் iifname மற்றும் oifname வழங்குகிறது. இந்தப் பெயர்களைப் பயன்படுத்தும் விதிகள் சுரங்கப்பாதை சாதனம் இன்னும் உருவாகவில்லை என்றாலும் தூய்மையாக ஏற்றப்படும், இதுவே துவக்கத்தில் விதித்தொகுப்புக்கு தேவையானது. இடைமுகம் மறுபெயரிடப்பட்டால் பொருத்தம் நிற்கும், புதிய இடைமுகம் அந்தப் பெயரை எடுத்தால் மீண்டும் தொடங்கும். எண்ணியல் குறியீட்டுக்கு அந்தப் பண்பு இல்லை, அதனால் சுரங்கப்பாதைக்கு பெயர் வடிவமே வழக்கமான தேர்வு.

பெயர் பொருத்தத்தின் திறவுகோல், மறுமுனையில் யார் இருக்கிறார்கள் என்பதற்கான சான்று அல்ல. சகாவின் அங்கீகாரம் VPN இன் வேலையாகவே இருக்கும்.

விதிகளைச் சேர்ப்பதற்கு முன் சங்கிலியைப் படியுங்கள்

விதித்தொகுப்பில் இப்போது என்ன இருக்கிறது, புதிய விதி எங்கே அமரும் என்பதைப் பாருங்கள், ஏனெனில் வரிசையே முடிவைத் தீர்மானிக்கிறது.

nft list ruleset
nft -c -f /etc/nftables.conf

பட்டியல் சங்கிலிகள், விதிகள் மற்றும் கைப்பிடிகளைக் காட்டுகிறது, சரிபார்ப்புப் பயன்முறை வேட்பாளர் கோப்பை ஏற்றாமலேயே சரிபார்க்கிறது. அதே ஓட்டத்திற்கு முந்தைய ஒப்புதலுக்குப் பிறகு வைக்கப்படும் சுரங்கப்பாதைக்கு மட்டுமான அனுமதி எதையும் மாற்றாது, ஏனெனில் முதலில் பொருந்தும் விதியே வெல்லும். அதனால் தாமதமாக வந்த விதி சரியாகத் தெரியலாம் ஆனால் எந்தப் பலனும் இருக்காது. சங்கிலியை வரிசையாகப் படித்து, வாடிக்கையாளரிலிருந்து மேல்இணைப்பு நோக்கிய போக்குவரத்துத் தடை இன்னும் எந்தப் பரந்த விதிக்கும் முன்பே வருகிறது என்பதை உறுதிசெய்யுங்கள்.

வழிகள், மொழிபெயர்ப்பு மற்றும் ஓட்டங்களுக்கு வேறு உரிமையாளர்கள் உள்ளனர்

இடைமுகத்தின் இருப்பு வழிகளை உருவாக்காது, சகாவை அங்கீகரிக்காது. அவை VPN மேலாளருக்கானவை, அதேசமயம் மொழிபெயர்ப்புக்கு மூன்றாவது வாழ்க்கைச் சுழற்சி உள்ளது.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack பட்டியல் இருக்கும் ஓட்டங்களை அவற்றின் அசல் மற்றும் மொழிபெயர்க்கப்பட்ட மதிப்புகளுடன் காட்டுகிறது, வழிப் பட்டியல் மேலாளர் இடைமுகத்திற்கு என்ன நிறுவியது என்பதைக் காட்டுகிறது. NAT விதிகள் முதல் பொதியிலேயே இணைப்புக் கண்காணிப்பு நிலையை உருவாக்குகின்றன, எனவே நிறுவப்பட்ட ஓட்டம் விதி மாறிய பிறகும் தன் மொழிபெயர்ப்பைத் தக்கவைக்கிறது. அதனால் விதி புதுப்பிக்கப்படுவதும் புதிய வழியைப் பயன்படுத்தும் ஓட்டமும் இரண்டு வெவ்வேறு கூற்றுகள். எந்த அமர்வுகள் மீண்டும் இணைய வேண்டும் என்பதை முடிவுசெய்து, தொடர்பில்லாத ஓட்டங்களை விட்டுவிடுங்கள்.

குளிர் தொடக்கம், இழப்பு மற்றும் மீட்பை ஏற்றுக்கொள்ளுங்கள்

துவக்கத்தில் சுரங்கப்பாதை இல்லாதபோது, பின்னர் அது இருக்கும்போது, பின்னர் துண்டிப்பு மற்றும் திரும்புதலுக்குப் பிறகு நுழைவாயிலைச் சோதியுங்கள். சுரங்கப்பாதை இல்லாதபோது தடைசெய்யப்பட்ட அனுப்புதல் தடைசெய்யப்பட்டே இருக்கும், சகா அங்கீகரிக்கப்பட்டபிறகு புதிய அனுமதிக்கப்பட்ட ஓட்டம் இயங்கும், மீட்புக்கு தொடர்பில்லாத நிலையை காலிசெய்ய வேண்டியதில்லை என்பதை உறுதிசெய்யுங்கள். ஒரு சுயவிவரத்தின் நிறுத்த நடவடிக்கையாக முழு POSTROUTING சங்கிலியையோ ஒவ்வொரு conntrack பதிவையோ அழிக்காதீர்கள், ஏனெனில் பிற சேவைகள் அவற்றைப் பங்கிடுகின்றன. தொடக்கக் கொக்கி பூஜ்ஜியத்துடன் வெளியேறியது மட்டுமல்ல, எந்தப் பகுதி இடைமுகம், வழி மற்றும் கொள்கையை மாற்றியது என்பதையும் பதிவுசெய்யுங்கள்.

மறுஇணைப்பைத் தாண்டி நிற்கும் கொள்கை என்பது உரிமையாளர்கள் பெயரிடப்பட்டு, சுரங்கப்பாதை கீழேயும் மேலேயும் இருக்கும்போது விதிகள் சோதிக்கப்பட்ட கொள்கையாகும். வெற்றியைத் தெரிவிக்கும் கொக்கி கொக்கி இயங்கியது என்பதை மட்டுமே நிரூபிக்கிறது.